제로 트러스트 – 반드시 물어봐야 할 질문

F5

“제로 트러스트 전략”을 수립하는 것은 “클라우드 전략”을 수립하는 것과 매우 비슷합니다. 달성하려는 목표와 현재 상황에 대한 맥락이 없다면 별다른 의미가 없습니다. 무언가는 신뢰해야 하므로 그 명칭조차 오해를 불러일으킬 수 있습니다. 제로 트러스트를 간단히 정의하면 “네트워크 위치를 근거로 사용자나 디바이스를 신뢰하지 않는 것”이라고 할 수 있지만, 그렇게 간단한 문제였다면 이미 모두가 구현을 마쳤을 것입니다. F5의 글로벌 솔루션 아키텍트로서 저는 다양한 액세스 아키텍처를 살펴볼 기회가 많습니다. 많은 조직이 제로 트러스트를 지향하고 있지만, 실제로 목표를 달성한 곳은 거의 없습니다.

더 나은 정의를 내리려면 네트워크 경계 대신 ID, 디바이스, 애플리케이션을 포함하도록 신뢰 경계의 범위를 재설정해야 할 것입니다. 이는 분명 새로운 개념이 아니며, 많은 고객이 이러한 방향으로 진전을 이루는 모습을 보아 왔습니다. 하지만 자체 개발 인력을 대규모로 투입해 맞춤형 솔루션을 구축하기 어려운 환경에서도 이를 실질적으로 구현할 수 있도록 공급업체들이 핵심 과제를 해결하기 시작하면서 최근 더욱 주목받고 있습니다. 프록시, 마이크로 터널, 마이크로 세분화, 프록시리스 등 선택할 수 있는 모델이 다양할 뿐만 아니라, 마이크로 세분화 및 소프트웨어 정의 경계(SDP)처럼 서로 경쟁하거나 연관된 용어와 개념까지 존재해 혼란을 가중합니다. 이처럼 모호하고 선택지가 많은 분야에서 성공을 어떻게 정의하고, 솔루션 평가는 어디서부터 시작해야 할까요? 먼저 목표와 요구 사항을 파악해야 합니다. 따라서 다음과 같은 질문부터 시작해 보겠습니다...

어떤 유형의 애플리케이션을 보호하려고 하시나요?

프록시는 웹 애플리케이션 처리에 적합한 편이며, SSO 기능과 우수한 사용자 경험을 제공하고 배포 및 관리도 비교적 쉽습니다. 서버 액세스에도 제로 트러스트를 적용하려고 하시나요? 일부 솔루션은 SSH 및 RDP 프록시를 제공합니다. 이 세 가지 프로토콜 모두 애플리케이션 코드나 서버 인증 모듈에 직접 통합되는 프록시리스 솔루션도 사용할 수 있습니다. 다만 이 경우 트래픽이 서버/애플리케이션에 도달하기 전에 차단할 수 없으므로 더 큰 위험을 감수해야 한다는 점에 유의하세요.

애플리케이션 대상이 이보다 더 다양하다면 터널 기반 솔루션으로 확장해야 할 가능성이 큽니다. 모든 터널 솔루션이 동일한 것은 아닙니다. 일부 솔루션은 기존 VPN을 활용하기 때문에 연결이 단일 게이트웨이로 제한됩니다. 마이크로 터널은 여러 엔드포인트에 다수의 터널을 구축할 수 있어 애플리케이션이 어디에 있든 액세스 요구 사항을 충족하는 데 도움이 되므로 더 나은 접근 방식인 경우가 많습니다.

어떤 유형의 보호 조치를 구현해야 하나요?

이는 모든 애플리케이션에 다단계 인증을 적용하고, 크리덴셜 스터핑 및 무차별 대입 공격 방지 기능, 봇 방지 기능, 데이터 손실 방지(DLP) 및 침입 방지 시스템(IPS)과 같은 보안 서비스가 통합된 트래픽 가시성, 그리고 웹 애플리케이션용 웹 애플리케이션 방화벽(WAF)을 갖추었는지 확인할 좋은 기회입니다. 일관된 액세스 모델을 구현하면 이러한 모든 서비스를 적용할 수 있는 일관된 지점도 마련할 수 있습니다. 종단 간 기밀성 솔루션은 주의해야 합니다. 모든 보안 서비스를 우회해야 한다는 사실을 깨닫기 전까지는 매력적으로 들릴 수 있습니다. 제로 트러스트로 인해 보안 태세가 약화되어서는 안 됩니다. 게이트웨이에서 터널을 종료한 다음, 가시성 및 보안 어플라이언스를 통해 트래픽을 라우팅하는 것이 좋은 전략입니다.

SSO(Single Sign-On)가 필요하신가요?

터널 솔루션은 일반적으로 애플리케이션에 사용자 ID 정보를 전달하지 못하며, 환경에 다른 원활한 인증 방식이 구축되어 있어야 하는 경우도 있습니다. 원하는 SSO를 제공하려면 프록시 또는 직접적인 코드 통합이 필요할 수 있습니다. 이를 구현하는 것은 많은 이해관계자의 지지를 얻는 데 중요한 성공 요인이 될 수 있습니다. 적합한 솔루션을 올바르게 배포하면 보안을 강화하는 동시에 사용자 경험도 개선할 수 있습니다.

분석 전략은 무엇인가요?

이 부분에서는 높은 수준을 기대해야 합니다. 조직 전체에 일관된 액세스 정책 프레임워크를 배포할 때 얻을 수 있는 핵심 이점은 누가, 어떤 기기에서, 어디서, 언제, 어떤 리소스에 액세스하는지 파악할 수 있다는 것입니다. 이렇게 수집한 데이터는 다른 보안 도구의 데이터와 함께 활용하고 분석하여 위협을 식별하고 완화해야 합니다. 이는 가시성 확보, 위협 식별, 완화 등 킬 체인의 모든 단계를 강화함으로써 조직 내 위험에 대응할 수 있는 기회입니다. 이 분야의 공급업체들은 아직 완전한 패키지를 제공하지 못하고 있으므로, 타사 분석 기능을 솔루션에 통합하여 기능을 강화할 방법을 반드시 모색해야 합니다. 모든 기능을 단일 플랫폼에서 제공하려는 공급업체보다는 자체 솔루션뿐 아니라 파트너 통합에도 주력하는 공급업체를 찾는 것이 좋은 전략입니다.

어떤 사용자 경험을 기대할 수 있을까요?

프록시는 사용자가 브라우저 사용 방식을 변경할 필요가 없고 클라이언트 측에 필요한 구성 요소도 더 적기 때문에 웹 애플리케이션에서 더 나은 사용자 경험을 제공하는 경향이 있습니다. 그러나 다른 솔루션에는 터널 클라이언트가 필요할 수 있습니다. 최종 사용자는 터널의 존재를 전혀 또는 거의 인식하지 못할 것으로 예상할 수 있습니다. 기존 VPN은 마이크로 터널에 비해 사용자 경험이 좋지 않은 경향이 있으며, 위에서 설명한 다른 한계도 있습니다.

어떤 플랫폼을 지원해야 하나요?

일부 솔루션은 데스크톱에서는 뛰어난 플랫폼을 제공하지만 모바일 기기에서는 그렇지 못합니다. 솔루션을 면밀히 평가하여 주요 데스크톱 운영 체제, 모바일 기기 및 필요한 경우 네이티브 모바일 앱 사용자의 요구 사항을 충족할 수 있는지, 그리고 일관된 사용자 경험과 기능을 제공하는지 확인하세요.

다음 단계

먼저 목표를 정의하세요. 목표에는 사용자 경험 개선, 보안 서비스 통합 강화, 모든 항목에 대한 다단계 인증 적용, 분석 통합 전략 수립 등이 포함되어야 할 것입니다. 이렇게 하면 심층 평가에 시간을 투자할 만한 공급업체와 아키텍처를 선별하는 데 도움이 됩니다. 다음으로, 우수한 파트너십 전략을 갖춘 공급업체에 집중하세요. 단일 공급업체가 이 아키텍처에서 기대하는 모든 것을 제공할 수는 없으므로, 확장해 나갈 수 있는 플랫폼을 선택해야 합니다. 장기적으로 더 만족하게 될 테니, 제 말을 믿으세요!

작성자 소개

F5

F5의 다른 블로그 게시물